华为访问控制列表与地址转换.docx

华为 访问控制列表与地址转换 本文由rise813贡献 ppt文档可能在WAP端浏览体验不佳。建议您优先选择TXT，或下载源文件到本机查看。 8、访问控制列表与地址转换 华为技术有限公司 数据通信产品行销部 学习目标 理解访问控制列表的基本原理 掌握标准和扩展访问控制列表的 配置方法 掌握地址转换的基本原理和配置 方法 IP包过滤技术介绍 IP包过滤技术介绍 对路由器需要转发的数据包，先获取包头信息，然 对路由器需要转发的数据包，先获取包头信息， 后和设定的规则进行比较， 后和设定的规则进行比较，根据比较的结果对数据 包进行转发或者丢弃。 包进行转发或者丢弃。而实现包过滤的核心技术是 访问控制列表。 访问控制列表。 R 内部网络 Internet 办事处 公司总部 未授权用户 访问控制列表的作用 访问控制列表可以用于防火墙； 访问控制列表可以用于防火墙； 访问控制列表可用于Qos(Quality Service)， 访问控制列表可用于Qos(Quality of Service)，对 数据流量进行控制； 数据流量进行控制； DDR中 在DDR中，访问控制列表还可用来规定触发拨号的 条件； 条件； 访问控制列表还可以用于地址转换； 访问控制列表还可以用于地址转换； 在配置路由策略时， 在配置路由策略时，可以利用访问控制列表来作路 由信息的过滤。 由信息的过滤。 访问控制列表是什么？ 访问控制列表是什么？ 一个IP数据包如下图所示 图中IP所承载的上层协议为 一个IP数据包如下图所示(图中IP所承载的上层协议为 数据包如下图所示( TCP)： TCP)： IP报头 IP报头 TCP报头 TCP报头 数据 协议号 源地址 目的地址 源端口 目的端口 对于TCP来说， 对于TCP来说，这5个元素组 来说 成了一个TCP相关 相关， 成了一个TCP相关，访问控 制列表就是利用这些元素定 义的规则 如何标识访问控制列表？ 如何标识访问控制列表？ 利用数字标识访问控制列表 利用数字范围标识访问控制列表的种类 列表的种类 IP standard list IP extended list 数字标识的范围 1－99 100－ 100－199 标准访问控制列表 标准访问控制列表只使用源地址描述数据， 标准访问控制列表只使用源地址描述数据，表明是允许还 是拒绝。 是拒绝。 从/24 来的数据包可以通 过！ 从/24 来的数据包不能通 过！ 路由器 标准访问控制列表的配置 配置标准访问列表的命令格式如下： 配置标准访问列表的命令格式如下： acl acl-number [ match-order config | auto ] aclmatchrule { normal | special }{ permit | deny } [source sourcesourceaddr source-wildcard | any ] source- 怎样利用 IP 地址 和 反掩码wildcard反掩码wildcard-mask 来表示 一个网段? 一个网段? 如何使用反掩码 反掩码和子网掩码相似，但写法不同： 反掩码和子网掩码相似，但写法不同： 0表示需要比较 1表示忽略比较 反掩码和IP地址结合使用，可以描述一个地址范围。 反掩码和IP地址结合使用，可以描述一个地址范围。 地址结合使用 0 0 0 0 0 255 0 3 255 255 只比较前24位 只比较前 位 255 只比较前22位 只比较前 位 255 只比较前8位 只比较前 位 扩展访问控制列表 扩展访问控制列表使用除源地址外更多的信息描述数据包， 扩展访问控制列表使用除源地址外更多的信息描述数据包， 表明是允许还是拒绝。 表明是允许还是拒绝。 从/24来的, /24来的 来的, 0的 到0的， 使用TCP协议 协议， 使用TCP协议， 利用HTTP访问的 利用HTTP访问的 数据包可以通过！ 数据包可以通过！ 路由器 扩展访问控制列表的配置 命令 配置TCP/UDP协议的扩展访问列表： 配置TCP/UDP协议的扩展访问列表： 协议的扩展访问列表 rule { normal | special }{ permit | deny } { tcp | udp } [source source-addr source-wildcard | any ] [sourcesourcesource[sourceport operator port1 [ port2 ] ] [ destination dest